Szupermarketek hűtői, véradószolgálatok vagy a berlini tartományi hálózat: a kibertámadások egyre gyakrabban érik a kritikus infrastruktúrákat. Egy etikus hacker az Euronewsnak elmondja, miként tárja fel a biztonsági réseket, és miért az ember a legnagyobb kockázat.
A szupermarketek hűtőszekrényei után immár a véradószolgálatokat is ismeretlen hackerek támadták meg. A hűtés megszakadása miatt az adományok használhatatlanná váltak. Egy etikus hacker az Euronewsnak adott interjúban elmagyarázza, miként próbálják még az előtt felfedezni a biztonsági réseket, hogy a bűnözők kárt okozhatnának velük.
HIRDETÉS
HIRDETÉS
„Az elmúlt két hétben rendkívüli mértékben megszaporodtak a látványos esetek, ilyen formában korábban egy teljes év alatt sem éltünk át ennyit”, magyarázza Marco Di Filippo, a Whitelisthackers kibervédelmi szakértője. Úgynevezett etikus hacker, akit vállalatok bíznak meg azzal, hogy ellenőrizze az IT-biztonságukat.
Az utóbbi időben számos üggyel kellett foglalkoznia. Az AfD-Leaks kiszivárogtatott e-mailjeitől kezdve a Revolut biztonsági résein és a számos weboldal alapját jelentő PHP szkriptnyelven át egészen a hűtőházak elleni támadásokig. A Szövetségi Bűnügyi Hivatal Bundeslagebild Cybercrime 2025 című jelentése szerint 2025-ben 202,4 milliárd eurós gazdasági kár keletkezett Németországban a hasonló esetek miatt.
Egy kattintás nyitotta meg a hackerek előtt a berlini állami hálózatot
Az augusztusi, a berlini állami hálózatot ért kibertámadásról Marco Di Filippo azt mondta, különösen problémás esetről van szó, amit el lehetett volna kerülni. Az elkövetők 30 bitcoin, mintegy kétmillió euró váltságdíjat követeltek, a berlini szenátus azonban következetesen elutasította ezt. Végül 1,4 millió bizalmas fájlt tettek közzé a darkneten.
Ennek oka egy digitális rendszerben meglévő gyenge pont volt. A támadás mögött álló, „Rhysida” nevű ransomware-csoport egy emberi mulasztást használt ki. „Az áldozatot egy weboldalra csalták, ahol meg kellett erősítenie, hogy ember. Ezt a támadási módszert ClickFixnek hívják. Ismerős: számokat kell beírni, képeket kell kiválasztani vagy egy számítási feladatot megoldani, hogy igazolja, nem bot”, magyarázza Di Filippo.
A weboldalon az áldozatot arra kérték, hogy hajtson végre egy bizonyos billentyűkombinációt, illesszen be egy parancsot, majd nyomja meg az Entert. „Ezzel végső soron saját maga nyitotta ki az ajtót a támadóknak”, jegyzi meg Di Filippo. Az IT-biztonsági szakértő szerint ez olyan, mintha valaki egy ilyen tartalmú e-mailt írna: „»Bankot akarok rabolni, ma este tízkor be is megyek. Kérem, hagyják résnyire nyitva az ajtót, hogy egyenesen a trezorhoz mehessek.«”
Di Filippo szerint ebből az esetből két dolog következik. Egyfelől a figyelem hiánya: „Egyrészt volt egy felhasználó, aki végrehajtotta ezt a parancsot, a humán tényező.” Másfelől ennek a felhasználónak eleve nem lett volna szabad rendelkeznie azokkal a jogosultságokkal, amelyekkel egy ilyen támadás végrehajtható. „Minden nap látunk ilyen eseteket, amelyeknél az ember néha csak a fejét csóválhatja”, értékeli Di Filippo.
Az ember, mint az IT-biztonság gyenge pontja
Annak valószínűsége, hogy valaki hacker-támadás áldozata lesz, egy a kettőhöz. Ezt a tényt azonban ma is alábecsülik, állítja a Whitelisthackersnél dolgozó kibervédelmi szakértő, Marco Di Filippo. Az emberek inkább a betörésektől vagy a vihartól félnek. „Pedig annak a valószínűsége, hogy villámcsapás ér, mindössze 1 a 200 000-hez”, mondja Di Filippo.
A kibervédelmi szakértő sajnálja, hogy a biztonság manapság nem élvez prioritást. „Rengeteg olyan terméket adnak el, ahol a használhatóság, a felhasználóbarát működés áll a középpontban”, magyarázza. Ilyenek például az okosotthonok, ahol a világítást és a fűtést bárhonnan lehet vezérelni. A szupermarketek hűtőszekrényei szintén az internetre csatlakoznak, hogy központilag lehessen őket felügyelni. Minden egyszerűbbé válik, de nem feltétlenül biztonságosabbá.
„És éppen itt van ma hiányosság a nevelésünkben. Amikor azt mondom, »mi«, mindenkit értek rajta, vagyis mindenkit, aki soha nem tanulta meg a veszélyeket is felismerni”, fogalmaz Di Filippo. Szerinte az oktatásban kellene kezdeni. Aki még soha nem volt kitéve egy hacker-támadás kockázatának, az nem is tekinti magát lehetséges célpontnak. Közben pedig egyre több lehetőség adódik például arra, hogy valaki idegen eszközökre jelentkezzen be.
Miért kezdődik a kibervédelem már a felvilágosítással?
Bizonyos esetekben elég egy SMS-ben vagy WhatsApp-üzenetben érkező linkre kattintani, majd utána megerősíteni a személyazonosságot ahhoz, hogy az ember akaratlanul is hozzáférést adjon a támadóknak a saját üzeneteihez. A támadók összekapcsolódnak az eszközzel, és így hozzáférnek az üzenetekhez, a médiatartalmakhoz és a kapcsolatokhoz. A módszer, amely „Ghost Pairing” néven ismert, előtt az év elején a Bundesamt für Sicherheit in der Informationstechnik (BSI) figyelmeztetett. Hogy elkerüljék, hogy idegenek olvassák el az üzeneteket, a BSI szerint a beérkező üzeneteket „kritikusan kell ellenőrizni”, és olyan mechanizmusokat kell beállítani, mint a kétfaktoros hitelesítés.
Más országok, például India, a technológiai fejlesztés mellett sok felvilágosító munkát is végeznek. „Ha Indiában metróval utazom, mindenhol plakátokat látok: kiberbűnözők vagy kiberkár, és egy telefonszám, amelyen fel lehet hívni valakit”, mondja Di Filippo. Németországban ezzel szemben a rendőrségnél időnként elutasítják az embert, és neki kell kiderítenie, melyik hatóság illetékes.
„Minden nap új támadási kiindulópontok és ötletek jelennek meg”, figyelmeztet Di Filippo a gyors fejlődésre. „A hűtőszekrények esetében a hackerek egyszer felfedeztek egy ilyen biztonsági rést, és most már csak azt kell megnézniük, kinél működik ugyanez a modell. Ennek megfelelően terjednek a támadások.” Egy biztonsági rés felfedezése lavinaszerű folyamatot indíthat el.
Di Filippo szerint a támadások mintegy 80-95 százalékánál az ember is közrejátszik abban, hogy egy rést ki lehessen használni, ahogyan a berlini állami hálózatok elleni támadásnál is történt. „Nagyon oda kell figyelnünk az oktatásra és a tudatosságra, hogy végső soron ellenállóvá váljunk a kibertámadásokkal szemben. A humán tényezőt be kell vonni, önmagában a technológia nem lesz elég.”
Hackerkedés a hackerek megállításáért
Di Filippo munkájának lényege, hogy belehelyezkedjen a bűnöző hackerek szerepébe. „Végső soron arról van szó, hogy megpróbáljuk megtámadni az infrastruktúrákat, vagy hibákat keresünk az infrastruktúrákban, a szoftverekben vagy az IT-alapú eszközökben. Ugyanazokat az eszközöket használjuk, mint az igazi kiberbűnözők”, mondja Di Filippo. „Csakhogy a mi célunk az, hogy a hibákat még az igazi támadók előtt megtaláljuk, és így ők ne tudják kihasználni ezeket a réseket.”
A fontos különbség az, hogy az ethical hackereket ügyfelek, például nagyvállalatok bízzák meg, és ők nem akarnak kárt okozni az ügyfelek infrastruktúrájában. Vállalatánál soha nem dolgozott olyan ember, aki korábban bűncselekményt követett volna el, hangsúlyozza Di Filippo. Az etikus hackereknek erkölcsi bizonyítvánnyal kell igazolniuk múltjukat, és bizonyítaniuk kell feddhetetlenségüket.
„Mindig találunk egy biztonsági rést”, mondta az Euronewsnak adott interjúban a munkájáról. Csapata a cégeknek a végén akár 400 oldalas jelentést ad át arról, hol vannak hiányosságok a digitális infrastruktúrában, és hogyan találták meg ezeket.
Miután egy rést felfedeznek, értesítik a végberendezések vagy rendszerek gyártóit, akik az érintett vállalattal közösen dolgozhatnak a hiba kijavításán. Egyes esetekben ezek a biztonsági rések, például az iPhone esetében, több millió eurót érnek. „Megvárjuk, amíg a rést befoltozzák. Ezt követően minden biztonsági rést egy úgynevezett CVE-n keresztül tesznek közzé”, teszi hozzá Di Filippo.
A CVE a Common Vulnerabilities and Exposures rövidítése, ez egy olyan katalógus, amely a biztonsági réseket sorolja fel, és bárki számára elérhető. A BSI maga is tájékoztat a gyenge pontokról, és egy nagyobb gyűjteményért hivatalosan a nemzetközi National Vulnerability Database (NVD) adatbázisra hivatkozik.
Amikor a hiányzó titkosítás milliárdokba kerülhet
Azok a történetek, amelyeket Di Filippo el tud mesélni, akár egy Netflix-sorozat forgatókönyvének is beillenének. Közel egy évtizede például volt egy eset, amikor kiberbűnözők viszonylag egyszerűen 1,2 milliárd eurót tudtak elvinni egy banktól. „Mégpedig azért, mert a banknak akkoriban semmilyen biztonsági intézkedése nem volt a telephelyei közötti hálózatkiépítésnél”, mondja a kibervédelmi szakértő.
A beszámolók szerint a banknak az utca egyik oldalán volt egy telephelye, közvetlenül vele szemben pedig egy másik irodája. „Ezt a telephelyet egy irányított rádiós kapcsolattal kötötték össze, és ez a kapcsolat nem volt titkosítva. Így a támadók bármilyen hacking skill nélkül egészen egyszerűen be tudtak jelentkezni, digitálisan szabadon mozoghattak a bankban, és így csendben, észrevétlenül el tudták vinni ezt a pénzt.”
A szupermarketek hűtőszekrényeinél is több esetben hiányzott végső soron a titkosítással nyújtott védelem. A szakértők legalább VPN vagy tűzfal használatát javasolják. A bankokra ma már szigorúbb biztonsági szabványok vonatkoznak. Közel egy éve a szövetségi kormány elfogadta a NIS-2 irányelvet is. Ez jóval több vállalatot és ágazatot kötelez a kötelező, különösen megelőző jellegű kibervédelmi intézkedésekre, mint korábban.
A Whitelisthackers vállalat a médiatudatosságra is támaszkodik, ezért hívta életre a „Deutschlands bester Hacker” versenyt. Célja, hogy tehetségeket találjanak, és ethical hackerek segítségével biztonságosabbá tegyék a digitális világot. A győztes részt vehet nemzetközi úgynevezett hackathonokon, vagyis maratoni stílusú hacker-versenyeken.
A hackerkedés mint szolgáltatás mindkét oldalon fellendülést él meg. A darkneten a Cybercrime-as-a-Service (CaaS) mára széles körben elterjedt a bűnözők között, de a legális biztonsági szolgáltatások piaca is növekszik. A Whitelisthackers évente mintegy 250 ügyfél megbízásait kezeli. A részben globális, látványos esetek után egyre több vállalat érdeklődik saját biztonsági infrastruktúrájának javítása iránt.